核心在于厘清协议感知、头信息透传和跳转逻辑闭环的相互干扰：hsts强制https升级后，若nginx未透传x-forwarded-proto或oidc回调url协议不匹配，会导致认证服务生成http跳转，触发nginx反复重定向；同时cookie缺失secure属性或domain不匹配，使会话无法携带，加剧循环。
排查 HSTS 与 OAuth2/OIDC 单点登录回调引发的重定向循环，核心在于厘清「协议感知」「头信息透传」和「跳转逻辑闭环」三者如何相互干扰。这类问题常表现为浏览器卡在 Redirecting… 或直接报 ERR_TOO_MANY_REDIRECTS，但 curl 直连后端却一切正常——说明问题出在代理链路或安全策略层，而非应用本身。
检查 HSTS 配置是否强制 HTTPS 后触发协议误判
HSTS（HTTP Strict Transport Security）本身不导致跳转，但它会让浏览器自动将所有 HTTP 请求升级为 HTTPS。若后端未正确识别原始协议，就极易与 Nginx 的重定向规则叠加成环：
- 确认 Nginx 的 HTTPS server 块中没有出现
return 301 http://或任何降级跳转逻辑 - HSTS 头应仅在 HTTPS 响应中设置：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;；HTTP server 块中绝不能加该头 - 若已启用 HSTS，临时在浏览器中清除 HSTS 缓存（Chrome 地址栏输入
chrome://net-internals/#hsts删除域名），再测试是否仍循环——可快速判断是否为 HSTS 持久化放大了配置错误
验证 OIDC 回调 URL 与 X-Forwarded-Proto 是否一致
OAuth2/OIDC 流程依赖回调地址（redirect_uri）严格匹配注册值。而当 Nginx 终止 SSL 后以 HTTP 转发请求，若未透传协议头，认证服务会生成 HTTP 版本的跳转链接，触发外层 Nginx 再次重定向回 HTTPS：
- 在 Nginx 的
location或server块中，确保包含：proxy_set_header X-Forwarded-Proto $scheme;proxy_set_header X-Forwarded-For $remote_addr;proxy_set_header Host $host; - 检查 OIDC 客户端（如 Keycloak、Auth0、Dex）后台配置的
redirect_uri是否为https://your-domain.com/callback，而非http://或带端口的地址 - 查看认证服务日志，确认其生成的跳转 URL 协议是否为
https；若日志中出现Location: http://...，即证实协议透传失败
审查 Cookie 域名、Secure 属性与 SameSite 设置
OIDC 登录成功后通常会写入会话 Cookie（如 auth_session 或 oauth_state）。若这些 Cookie 缺失 Secure 标志或 Domain 不匹配，浏览器不会在后续 HTTPS 请求中携带，导致认证中间件反复重定向到登录页：
- 用浏览器开发者工具 → Application → Cookies，检查关键认证 Cookie 是否带有
Secure和SameSite=Lax（或Strict）属性；若缺失Secure，则无法在 HTTPS 下发送 - 确认 Cookie 的
Domain值与当前访问域名完全一致（例如访问app.example.com，Cookie Domain 应为example.com或app.example.com，不能是.example.com导致跨子域泄露风险） - OIDC 中间件（如 nginx-auth-module、oauth2-proxy 或应用内集成）需显式配置
cookie_secure on或对应参数，确保生成的 Cookie 强制加密传输
隔离前端路由与后端鉴权的跳转冲突
SPA 应用（如 React/Vue 前端 + OIDC 登录）常因 history 模式与后端重定向策略叠加出环：用户登录后重定向回 /，但前端路由未命中，又触发 404 → error_page → rewrite / → proxy_pass，再次进入鉴权检查：
- 在 Nginx 中为前端资源路径（如
location /）添加try_files $uri $uri/ /index.html;，避免 404 触发隐式重定向 - 确保 OIDC callback 路径（如
/oauth2/callback）使用独立location块，并置于 SPA fallback 规则之前，防止被兜底规则捕获 - 若使用 oauth2-proxy 等反向代理网关，确认其
--skip-jwt-bearer-tokens、--cookie-secure、--whitelist-domain参数与当前部署场景匹配
